[╚±±δσΣεΓαφΦσ Xara 3D]
Target: Xara3D 4.0
URL: http://www.xara.com
Tools: SoftIce, ß≤∞απα Φ ≡≤≈Ωα
═α≈φσ∞. ╟α∩≤±Ωα Xara3D ΩδΦΩασ∞ φα "Purchase" Φ ΓΓεΣΦ∞ 7 δ■ß√⌡ ±Φ∞ΓεδεΓ Γσ≡⌡φσπε ≡σπΦ±≥≡α.
╤≥αΓΦ∞ Γ SoftIce ß≡ Ω φα hmemcpy Φ ≥≡α±±Φ≡≤σ∞ ∩≡επ≤ Σε:
...................
41f6c1: cmp dword ptr [eax-8],7 <- ∩≡εΓσ≡Ωα ΣδΦφ√
41f6c5: jnz 00418ca <- σ±δΦ φσ ≡αΓφε 7 ∩≡√µεΩ φα ε°ΦßΩ≤
41f6cb: movsx edx,byte ptr[eax] <- Γ edx ∩σ≡Γ√Θ ±Φ∞Γεδ
41f6ce: push edx
41f6cf: call 47c3e8 <- ⌠≤φΩ÷Φ ∩≡εΓσ≡ΩΦ φα ταπδαΓφ√σ ß≤ΩΓ√
...................
┬ ∩≡Φφ÷Φ∩σ ²≥ε≥ ≤≈α±≥εΩ ΩεΣα φσ ≥αΩ ≤µ Γαµσφ,τΣσ±ⁿ ∩≡εΦ±⌡εΣΦ≥ ∩≡εΓσ≡Ωα ±Φ∞ΓεδεΓ φα Γσ≡⌡φΦΘ
≡σπΦ±≥≡.
╥≡α±±Φ≡≤σ∞ Σαδⁿ°σ:
...................
41α787: mov eax,ebp
41α789: mov ecx,ebp
41α78b: shr eax,1
41α78d: and eax, 55555555h
...................
─αδσσ ΦΣσ≥ ∩≡ε÷σ±± πσφσ≡α÷ΦΦ ±≤∞∞√ Φτ ΓΓσΣσφφεπε φα∞Φ ΩεΣα Φ ±≡αΓφσφΦσ σπε ± Ωεφ±≥αφ≥εΘ,
σ±δΦ εφΦ ≡αΓφ√, ≥ε Γ ≡σσ±≥≡ ταφε±Φ≥± τφα≈σφΦσ Φτ ebp. ╤α∞α ∩≡εΓσ≡Ωα φα⌡εΣΦ≥± φΦµσ:
...................
41f80f: cmp eax,ecx
41f817: jnz 41f8ca
...................
╫≥εß√ ∩≡επ≡α∞∞α ±≥αδα τα≡σπΦ±≥≡Φ≡εΓαφφεΘ φαΣε ταNOPΦ≥ⁿ JNZ, ∩ε±δσ ²≥επε εφα τε±Σα±≥
Γ ≡σσ±≥≡σ DWORD ∩α≡α∞σ≥≡ ""Key=dword:6ddfacc2" (HKCU\Software\Xara\X3D4\Install).
▀ εß≡α≥Φδ ΓφΦ∞αφΦσ, ≈≥ε ²≥ε≥ ∩α≡α∞σ≥≡ ±εΓ∩αΣασ≥ ±ε τφα≈σφΦσ Γ ebp. ─αδδσσ Γ√ ±φΦδε±ⁿ
≈≥ε ²≥ε≥ ∩α≡α∞σ≥≡ φα Γ±σ⌡ Ωε∞∩ⁿ■≥σ≡α⌡ ≡ατφ√Θ, εφ ταΓΦ±Φ≥ ε≥ RegisteredOrganization,
RegisteredOwner, FirstInstallDateTime (φα⌡εΣ ∙Φσ± Γ HKLM\Software\Microsoft\Windows\CurrentVersion).
╧≡εδΦ±≥αΓ ∞φεπε ΩεΣα ΓΓσ≡⌡, ±≥αΓ ß≡ ΩΦ Φ ±∞ε≥≡ τφα≈σφΦσ ebp, φαß≡σδ φα ε≈σφⁿ
Φφ≥σ≡σ±φ√Θ Ω≤±εΩ:
...................
41ee56: push eax
41ee57: push ecx
41ee58: call edi <- ⌠≤φΩ÷Φ ∩εδ≤≈σφΦ τφα≈ΦφΦ FirstInstallDateTime (FIDT)
41ee5a: test eax,eax
41ee5c: jnz 41ee92
41ee5e: cmp dword ptr[esp+40],44
41ee63: jnz 41ee92
41ee65: mov edx,[esp+4c]<- Γ edx τφα≈σφΦσ FIDT
41ee69: xor eax,eax <-εßφ≤δσφΦσ ±≈σ≥≈ΦΩα
41ee6b: lea ebp,[edx+91d9405e] <- Γ ebp FIDT+const (≤ ∞σφ bb78543fh)
41ee71: mov ecx,[eax+esp+208] <- Γ σ±x ταφε±Φ≥± 4 ±Φ∞Γεδα RegisteredOrganization Φτ ß≤⌠σ≡α
41ee78:mov ebx,[eax+esp+308] <- Γ σbx ταφε±Φ≥± 4 ±Φ∞Γεδα RegisteredOwner Φτ ß≤⌠σ≡α
41ee7f:add ecx,ebp <- ±δεµσφΦσ ecx c ebp
41ee81:add eax,4 <- ∩≡ΦßαΓδ σ≥ Ω ±≈σ≥≈ΦΩ≤ 4
41ee84: rol ecx,d <- Σσδασ≥ ÷ΦΩδΦ≈σ±ΩΦΘ ±ΣΓΦπ ΓδσΓε ecx φα Dh ßΦ≥
41ee87: add ecx,ebx <- ±ΩδαΣ√Γασ≥ ecx c ebx
41ee89: rol ecx,4 <-<- Σσδασ≥ ÷ΦΩδΦ≈σ±ΩΦΘ ±ΣΓΦπ ΓδσΓε ecx φα 4 ßΦ≥α
41ee8c: cmp eax,esi <- ∩≡√πασ≥ ∩εΩα eax ∞σφⁿ°σ esi (100h)
41ee8e: mov ebp,ecx
41ee90: jl 41ee71
...................
╩≡α≥Ωε ε∩Φ°≤ ±≤≥ⁿ Σσδα. ╤φα≈αδα ∩≡επα ±≈Φ≥√Γασ≥ RegisteredOrganization, RegisteredOwner,
FirstInstallDateTime Ωε∞∩α. ─αδσσ ±ΩδαΣ√Γασ≥ FIDT ± Ωεφ±≥αφ≥εΘ, ±≈Φ≥√Γασ≥ ∩ε 4 ±Φ∞Γεδα
RegisteredOwner (ecx) Φ RegisteredOrganization (ebx), σ±δΦ Ωεφ≈α■≥± ±Φ∞εΓεδ√ ταßΦΓασ≥
≡σπΦ±≥≡√ φ≤δ ∞Φ (ecx,ebx), ±ΩδαΣ√Γασ≥ RegisteredOrganization ± ≥σ∞, ≈≥ε ∩εδ≤≈Φδε±ⁿ Γ ebp
≤ΓσδΦ≈ΦΓασ≥ ±≈σ≥≈ΦΩ (eax), Σσδασ≥ ÷ΦΩδΦ≈σ±ΩΦΘ ±ΣΓΦπ ΓδσΓε ecx, ±ΩδαΣΓασ≥ σπε ± RegisteredOwner
Φ σ∙σ ≡ατ Σσδασ≥ ±ΣΓΦπ. ┬σ±ⁿ ²≥ε≥ ÷ΦΩδ ∩εΓ≥ε≡ σ≥ 100h ≡ατ , Γ Φ≥επσ ∩εδ≤≈ασ≥± φσΩε≥ε≡α
∩ε±δσΣεΓα≥σδⁿφε±≥ⁿ ( ≤ ∞σφ 6ddfacc2h) Γ ebp.─αδσσ ²≥≤ ∩ε±δσΣεΓα≥σδⁿφε±≥ⁿ ∩≡επα
Φ±∩εδⁿτ≤σ≥ Σδ πσφσ≡α÷ΦΦ αφδεΩ ΩεΣα, φε ²≥ε φα∞ φσ φ≤µφε,≥αΩ ΩαΩ ∞√ ≤µσ ∩εδ≤≈ΦδΦ ≡αßε≈ΦΘ ΩσΘ.
┬ε≥ Γ ∩≡Φφ÷Φ∩σ Φ Γ±σ.
┬ετφΦΩφ≤≥ Γε∩≡ε±√, ∩Φ°Φ≥σ.
---------------------------------------------------------------------------
B-$hep[TSRh] & OxEn[TSRh] ([email protected])
p.s.: ├ε≥εΓ√Θ ΩσΘ πσφ ∞εµφε ±δΦ≥ⁿ ± http://nitrogen-tsrh.chat.ru/reliz/tsrh-x3d40kg.zip